El mayor golpe a la autocustodia: los hackers retiraron más de 1700 BTC de los monederos de hardware Coldcard
Una campaña masiva de hackeo de los monederos de hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Según mi análisis de los datos obtenidos durante la investigación, el último ataque confirmado se registró el 6 de agosto, y después de esa fecha no se han detectado nuevos incidentes. Esta es una señal importante que indica un posible agotamiento del fondo de fondos vulnerables o que los titulares restantes han logrado reaccionar a tiempo.
Mecánica del ataque y raíz del problema
He logrado determinar que los atacantes restauraron sistemáticamente las frases semilla generadas por los dispositivos Coldcard. La causa radica en un error cometido por el fabricante Coinkite en 2021 durante la actualización del firmware. El cambio en el mecanismo de generación de entropía criptográfica provocó un funcionamiento incorrecto del generador de números aleatorios. Los dispositivos cambiaban silenciosamente a una fuente alternativa de entropía, que resultó ser catastróficamente insuficiente para proteger las claves privadas. El problema se acumuló durante años, pero solo ahora, con el aumento de la potencia computacional, se ha vuelto accesible para su explotación práctica.
Alcance y vectores de blanqueo
Durante el trabajo, me puse en contacto con 190 víctimas y confirmé el robo de fondos de más de 8600 direcciones. El daño real podría ser mayor: teniendo en cuenta los episodios no confirmados, el volumen robado se estima en 2417,35 BTC (~153 millones de dólares). Es notable que no se trata de una operación aislada: he detectado al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por parte de varios grupos de atacantes.
El análisis del movimiento de los fondos robados muestra que alrededor de 1531 BTC permanecen aún en las direcciones de los atacantes. Aproximadamente el 65% de las monedas movidas pasaron por transacciones CoinJoin, lo que dificulta seriamente su seguimiento. El otro 35% se movió según el esquema Peel Chain, un método clásico de blanqueo en el que se separan repetidamente pequeñas transacciones de una gran suma. Parte de los fondos fue detectada en intercambios centralizados y puentes entre cadenas; las listas de direcciones ya han sido entregadas a los departamentos de cumplimiento y a las autoridades policiales.
Golpe a la narrativa de la autocustodia
Este incidente no es solo otro hackeo. Las víctimas fueron usuarios que abordaban la custodia propia de manera extremadamente responsable: no utilizaban intercambios dudosos ni protocolos DeFi arriesgados, sino que confiaban en monederos de hardware considerados el estándar de seguridad. Como resultado, observamos una crisis de confianza en la propia idea de la autocustodia. Inmediatamente después del inicio de los ataques, el número de transferencias a intercambios aumentó drásticamente: en los primeros cuatro días, más de 22 000 BTC llegaron a plataformas centralizadas, y para el 8 de agosto su saldo agregado alcanzó un máximo histórico de 3,683 millones de BTC.
La firma múltiple como nuevo paradigma
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas por firma múltiple. Esto ha provocado un aumento del interés en las soluciones multisig: los servicios Casa y Anchorwatch han informado de un fuerte crecimiento de clientes. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, la contraposición entre servicios de custodia y no custodia es inapropiada aquí. La raíz del problema es el punto único de fallo, ya sea un intercambio, un fabricante de dispositivos o el propio usuario. El incidente obliga a reconsiderar el enfoque de almacenamiento hacia la distribución de riesgos entre múltiples claves y componentes independientes de la infraestructura.
El papel de la IA y nuevas amenazas
Merece especial atención la posibilidad de que los atacantes hayan utilizado inteligencia artificial. Creo que al menos parte de los atacantes empleó LLM abiertos chinos sin restricciones estrictas en materia de ciberseguridad. Esto crea un precedente preocupante: mientras los investigadores de Bitcoin Red Team, que verifican la base de código del ecosistema, se enfrentan a limitaciones de las principales empresas de IA estadounidenses, los atacantes obtienen acceso a potentes herramientas para buscar y explotar errores. En el contexto de las pérdidas récord de 1.100 millones de dólares por hackeos en la primera mitad de 2026, este caso subraya que la seguridad en la industria de las criptomonedas requiere no solo soluciones técnicas, sino también institucionales.
Mi veredicto: el incidente de Coldcard es una señal de alarma para toda la industria. Demuestra que incluso las soluciones aparentemente más fiables pueden contener defectos ocultos, y que confiar en un solo dispositivo es un lujo que ya no podemos permitirnos. El movimiento hacia la firma múltiple y la diversificación de riesgos no es solo una tendencia, sino una necesidad.